Versehentliche GitHub-Offenlegung: Mozilla tauscht GPG-Schlüssel aus

Mozilla widerruft einen GPG-Signaturschlüssel nach unbeabsichtigter Veröffentlichung auf GitHub. Für die meisten Nutzer besteht kein Handlungsbedarf.

Mozilla hat am 10. August 2026 den Austausch eines GPG-Signaturschlüssels bekannt gegeben, der zur Verifizierung von Artefakten des Browsers Firefox und des E-Mail-Clients Thunderbird dient. Der vorherige Unterschlüssel war versehentlich in einem privaten GitHub-Repository abgelegt worden. Betroffen von der Signatur waren unter anderem Linux-Tarballs, RPM-Pakete und Prüfsummendateien. Nach Angaben der Organisation war das betroffene Repository unverschlüsselt, jedoch nur für eine kleine Gruppe von Mozilla-Entwicklern zugänglich, die ohnehin über berechtigten Zugriff auf den Schlüssel verfügten. Untersuchungsergebnisse zeigten keine Fremdzugriffe. Mozilla erklärte dazu:

„Unsere Überprüfung der verfügbaren Überwachungsprotokolle ergab keine Hinweise darauf, dass eine unbefugte Partei auf den Schlüssel zugegriffen hat, während er sich im Repository befand.“

Mozilla

Trotz des fehlenden Nachweises eines Missbrauchs hat Mozilla den betroffenen Schlüssel widerrufen und durch ein neues Zertifikat ersetzt, um Risiken für die Software-Lieferkette auszuschließen.

Auswirkungen auf Mozilla-Anwender und erforderliche Schritte

Für die Mehrheit der Nutzer von Firefox und Thunderbird ergeben sich durch den Schlüsseltausch keine manuellen Aufgaben. Automatisierte Update-Prozesse werden durch den Wechsel nicht beeinträchtigt. Handlungsbedarf besteht jedoch für zwei konkrete Anwendergruppen:

• Personen, die GPG-Signaturen von Downloads manuell überprüfen, müssen den neuen Schlüssel sowie den Widerruf des alten Schlüssels importieren.
• Nutzer von Firefox-RPM-Paketen auf bestimmten Linux-Distributionen wie älteren Fedora-Versionen oder RHEL müssen den alten Schlüssel gegebenenfalls manuell aus dem Paketmanager entfernen, da automatische Aktualisierungen andernfalls fehlschlagen können.

Zusätzlich hat Mozilla technische Schutzmaßnahmen implementiert, um versehentliche Uploads von Signaturschlüsseln in Repositories künftig zu verhindern.

(red)